En un mundo digital en constante evolución, la protección de datos personales se ha convertido en un tema de vital importancia. La privacidad se ha convertido en una prioridad para todas las empresas.
¿Qué es la LOPD y por qué es importante para tu PYME?
La protección de datos es un tema serio para las empresas desde su reconocimiento por los ordenamientos jurídicos. En España todo aquel que maneje información personal durante el ejercicio de cualquier actividad comercial cuenta con una cuota de responsabilidad. La protección de datos es un derecho fundamental recogido en la Declaración Universal de Derechos Humanos de 1948 y la propia Constitución Española. La materia se ha protegido ampliamente mediante legislación.
La Ley Orgánica de Protección de Datos Personales de 1999 supervisa la adecuada utilización de los mismos. La información personal en el marco de su relación con empresas, organismos y autoridades públicas o privadas es tendiente a vulneración. Un mal manejo de los datos que facilitan clientes o proveedores supondrá infracciones.
La correcta implantación LOPD en tu negocio va más allá de ser un mero trámite que llevamos a cabo para evitar sanciones. La LOPD es obligatoria tenerla implantada en tu negocio. Protege y garantiza las libertades y los derechos fundamentales de las personas físicas, su honor e intimidad personal y familiar.
Además, existen varias obligaciones que debes cumplir cuando implantes esta normativa a tu negocio. Supervisar su cumplimiento. Es decir, los “incentivos” para cumplir con la normativa de la LOPD existen, ya que una empresa puede ser sancionada duramente de no acogerse de forma adecuada a la regulación vigente.
Lea también: Servicios LOPD Profesionales en Granada
En resumen, la Ley de Protección de Datos es esencial para que tu negocio cumpla con las normativas, seas un negocio en el que confiar y no te veas afectado por las posibles sanciones.
Marco Legal: LOPD, LOPDGDD, RGPD y AEPD
- La Agencia Española de Protección de Datos (AEPD) es el organismo independiente encargado de velar por el cumplimiento de la normativa de protección de datos en España.
- La Ley Orgánica de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD) es la normativa vigente en España en materia de protección de datos.
- La Ley Orgánica de Protección de Datos Personales y de garantía de los derechos digitales (LOPD) fue la primera ley de protección de datos en España.
- El Reglamento General de Protección de Datos (RGPD) es un reglamento de la Unión Europea que entró en vigor en mayo de 2018.
- La Ley 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales es la ley que modifica la LOPD para adaptarla al RGPD. El 5 de diciembre de 2018 entró en vigor la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD) que adapta el derecho español al modelo establecido por el Reglamento General de Protección de Datos (RGPD).
¿A quién aplica el RGPD?
Las empresas, sociedades, comunidades, asociaciones y autónomos, a los que aplica el RGPD son los:
- Establecidos en la UE independientemente de si el tratamiento se hace o no en la UE.
- Que monitorizan el comportamiento de las personas que se encuentran en la UE.
- Que ofrecen bienes o servicios a personas que se encuentren en la UE.
Pasos Clave para Cumplir con la LOPDGDD
Por ello, es importante que las organizaciones de todo tipo, ya sean grandes corporaciones o pymes, examinen su situación en cuanto a la protección de datos personales, pues están en juego factores como la confianza de los clientes o la competitividad.
Para comenzar visita los otros apartados del menú: ¿Tengo que cumplir?, ¿Cómo cumplo?, Organización y Tecnología.
Para cumplir con el RGPD tienes que garantizar los derechos y libertades de las personas desde la misma definición del tratamiento de sus datos personales.
Lea también: LOPD en Murcia
- Designar un Delegado de Protección de Datos (DPD): El DPD es una figura clave en el cumplimiento de la LOPDGDD.
- Realizar una evaluación de riesgos: La evaluación de riesgos es un proceso fundamental para identificar y valorar los riesgos que pueden afectar a la seguridad de los datos personales. Según el RGPD, la adopción de estas medidas debe tener una base en el análisis de riesgos para los derechos y libertades.
- Implementar medidas de seguridad técnicas y organizativas: Las medidas de seguridad son esenciales para proteger los datos personales frente a accesos no autorizados, alteraciones, pérdidas o destrucciones.
- Formar a los empleados en materia de protección de datos: La formación de los empleados es crucial para garantizar que comprenden la importancia de la protección de datos y que son capaces de cumplir con las obligaciones establecidas en la LOPDGDD. El primer riesgo es que los empleados no estén formados en la materia. La ignorancia de la ley no excusa de su cumplimiento.
- Informar a los interesados sobre el tratamiento de sus datos: Los interesados tienen derecho a ser informados sobre el tratamiento de sus datos personales. Un error común es no brindar la información necesaria. Según el RGPD debe proporcionarse el enteramiento y consulta a los ciudadanos cuyos datos van a tratarse. No basta una simple notificación, sino que requiere la realización de lista exhaustiva de los contenidos que deben ser expuestos.
- Obtener el consentimiento de los interesados para el tratamiento de sus datos: El consentimiento para el tratamiento de datos deja debe ser explícito.
Análisis de Riesgos de Privacidad
En cualquier caso, para saber qué medidas organizativas y técnicas son las adecuadas para el tratamiento de datos personales, tendrás que realizar un análisis de riesgos de privacidad.
El objetivo del análisis de riesgos es determinar si el tratamiento de la información tiene consecuencias negativas para las personas, por ejemplo: marginación, exclusión social, dificultades de acceso a un puesto de trabajo, etc.
Si ya cumplías con la LOPD, revisa que las medidas que tomas están acordes con el nuevo reglamento, pues no tienen el mismo tratamiento.
Para comenzar con el análisis de riesgos de privacidad debemos:
- Identificar todas las fuentes de datos personales de nuestros tratamientos, catalogar todos los agentes responsables y los tipos de operaciones que se hacen con esos datos durante todo su ciclo de vida: captura, clasificación y almacenamiento, uso, cesión o transferencia y destrucción.
- Ser exhaustivos con los datos que se recogen: ¿dónde se almacenan?, ¿durante cuánto tiempo?, ¿en un fichero o en una base de datos?, ¿en qué equipos? ¿siguen los principios del tratamiento del RGPD ? Hacer un diagrama de flujo de datos del tratamiento, es decir desde que se recogen hasta que se utilizan o desechan con las transformaciones intermedias.
- Priorizar, es decir, analizar en primer lugar a los agentes involucrados en el tratamiento y las acciones problemáticas sobre los datos, es decir, aquellas que pueden tener un efecto adverso sobre la privacidad de las personas.
Gracias al análisis de riesgos conoceremos mejor los tratamientos y cómo proteger la privacidad durante los mismos.
Lea también: Marketing digital paso a paso
Medidas Organizativas y Técnicas
A nivel organizativo, si has determinado que realizas tratamientos de alto riesgo, tendrás que:
- Llevar un Registro de actividad del tratamiento. Recuerda: tendrás que llevar un Registro de actividad del tratamiento si empleas a más de 250 personas o realizas tratamientos de datos personales de forma no ocasional o que pueda entrañar riesgos para su privacidad o con categorías especiales de datos. En este artículo de la AEPD tienes más información.
- Nombrar un DPD o Delegado de protección de datos.
- Realizar un Análisis de impacto del tratamiento.
En cualquier caso, para todo tipo de tratamientos, a nivel organizativo tendrás que:
- Adecuar tus procedimientos y canales para informar, recabar el consentimiento, permitir el ejercicio de los derechos y notificar en caso de brecha de seguridad que afecte a la privacidad.
- Revisar los contratos con los encargados del tratamiento si los tuvieras.
- Poner en marcha políticas para garantizar la seguridad de los tratamientos.
- Formar y concienciar a todos los empleados que intervengan en los tratamientos. Utiliza los recursos de formación y el kit de concienciación.
Las medidas anteriores han de proteger los datos personales con garantías de seguridad, tanto si la infraestructura para el tratamiento está en local como si está externalizada o en la nube.
La Análisos de riesgos servirá para priorizar también las medidas tecnológicas a implantar. Revisaremos que tenemos los canales tecnológicos, incluidos aquellos canales online (las políticas de privacidad web, las cookies, las apps para móviles), adecuados para: informar, obtener el consentimiento, garantizar los derechos y notificar las posibles brechas de seguridad.
Además tendremos que completar las medidas de seguridad que previamente teníamos con las necesarias para abordar los riesgos derivados de:
Todo ello para:
- Garantizar la confidencialidad, integridad y disponibilidad de los tratamientos y datos personales.
- Permitir que las autoridades puedan verificarlo.
¿Cómo me ayuda la tecnología a garantizar la seguridad de los tratamientos?
El objetivo es controlar los datos personales en todo momento, garantizar los derechos a los usuarios y además poder demostrarlo. Utilizaremos herramientas tecnológicas que permitan:
- Determinar dónde están ubicados los datos, clasificarlos según su criticidad, monitorizar su uso, conocer quién accede, cuando se borran y cifrarlos cuando sea necesario. Se pueden utilizar distintas soluciones de prevención de fuga de información.
- Evitar accesos no autorizados y restringir el acceso a los datos aplicando principios de mínimos privilegios mediante sistemas de gestión de identidad y Autenticación.
- Tener controlados todos los dispositivos y soportes con herramientas que nos permitan hacer inventarios de los mismos y del software instalado verificando a su vez que sea legítimo y esté actualizado.
- Cifrar los datos, para lo cual se utilizarán herramientas de cifrado. Recuerda: el cifrado garantiza la confidencialidad y la integridad, reduce el riesgo de sanciones y evita que tengamos que informar a los usuarios en caso de brecha de seguridad.
- Realizar backups mediante instrumentos específicos de contingencia y continuidad.
- Instalar y activar herramientas anti-fraude y anti-malware.
- Proteger las comunicaciones tanto por cable como inalámbricas con equipos específicos, y en particular con cortafuegos, para evitar que puedan estar accesibles a terceros no autorizados.
Riesgos Comunes y Sanciones
Un error común es no brindar la información necesaria. Según el RGPD debe proporcionarse el enteramiento y consulta a los ciudadanos cuyos datos van a tratarse. No basta una simple notificación, sino que requiere la realización de lista exhaustiva de los contenidos que deben ser expuestos.
Otro riesgo fatal es carecer de un sistema sólido de protección el cual seguir. Son errores comunes: dejar documentos con información sensible encima de las mesas; El reutilizar papel con datos personales; Carecer de una destructora de papel; Dejar ordenadores encendidos; Emplear pen drives para transportar la información. Todos ellos son errores que, al final, pueden terminar enviando los datos a manos equivocadas.
El no contar con un delegado de protección de datos puede ser un inconveniente.
La legislación impone firmemente sanciones que van desde los 900 (casos leves), hasta los 600.000 o peor, de hasta los 20 millones de euros para infracciones muy graves según el RGPD del 2016.
¿Qué pasa si no cumplo?
Cualquier ciudadano de la UE tiene derecho a presentar reclamaciones de forma individual o colectiva si considera que el tratamiento de sus datos personales vulnera el RGPD. También, al ser la privacidad un derecho fundamental, tendrá derecho a la tutela judicial efectiva y a la indemnización por los daños y perjuicios sufridos a consecuencia de una infracción del RGPD.
Las autoridades podrán investigar y corregir las infracciones. Para ello estarán en disposición de ordenar al responsable o al encargado que facilite información, lleve a cabo auditorías u obtenga acceso a los datos, locales y equipos.
Las sanciones por infracción podrán ir, desde advertencias si la infracción es posible, apercibimientos y limitaciones temporales, hasta prohibir el tratamiento, ordenar supresión de datos e imponer multas.
Recuerda: la protección de datos personales de tus clientes, usuarios, colaboradores o empleados según el RGPD no sólo sirve para evitar las sanciones, sino que es además un importante factor de competitividad y fidelización.
Ciberseguridad: Tendencias y Desafíos
Fortalecimiento del factor humano en ciberseguridad: El ser humano sigue siendo el eslabón más débil en la ciberseguridad, una realidad acentuada por el auge del teletrabajo y la creciente adopción de servicios en la nube.
Ciberseguridad en el teletrabajo y la nube: El teletrabajo y el uso masivo de infraestructuras en la nube, como IaaS, PaaS y SaaS, han incrementado las superficies de ataque, lo que requiere estrategias de seguridad más robustas.
Protección de endpoints y redes móviles: Con la proliferación del trabajo remoto, garantizar la seguridad de los dispositivos finales (endpoints) se ha vuelto imprescindible. Los empleados utilizan múltiples dispositivos para acceder a los sistemas corporativos, lo que exige implementar soluciones avanzadas de Prevención de Pérdida de Datos (DLP), cifrado y seguridad móvil.
Copias de seguridad y respuesta ante ransomware: El ransomware sigue siendo una de las amenazas más graves.
Cumplimiento normativo y privacidad de datos: La creciente complejidad de regulaciones como NIS 2 y GDPR obliga a las empresas a adherirse a normativas más rigurosas en cuanto a privacidad y seguridad de los datos.
Inteligencia Artificial para la defensa cibernética: Aunque la Inteligencia Artificial (IA) presenta ciertos riesgos, también es una poderosa herramienta para mejorar la ciberseguridad. Soluciones basadas en IA permiten detectar comportamientos anómalos en la red, anticipar amenazas antes de que se materialicen y automatizar respuestas a incidentes.
Zero Trust y SDN (Software-Defined Networking): El enfoque de Zero Trust ha ganado terreno en el ámbito empresarial, basándose en la premisa de no confiar automáticamente en ningún usuario, sea interno o externo, y controlar el acceso a los recursos mediante políticas estrictas de seguridad.
Seguridad en la nube y SASE: Cada vez más empresas optan por modelos de seguridad basados en la nube como SASE, que combina funciones de red y seguridad en un único servicio.
Autenticación robusta y gestión de identidad (IAM): La implementación de soluciones de Gestión de Identidades y Accesos (IAM) es esencial para asegurar el control sobre quién accede a los recursos y cuándo.
Defensa contra ataques DDoS y cifrado avanzado: Los ataques de denegación de servicio distribuido (DDoS) siguen siendo un reto constante.
Análisis forense y pruebas de penetración: Las pruebas de penetración y el análisis forense digital son cruciales para identificar y corregir vulnerabilidades antes de que puedan ser explotadas.
Recursos Adicionales de la AEPD
Para ellos, la AEPD ha elaborado la herramienta FACILITA_RGPD, que proporciona ayuda para la elaboración del registro de actividades de tratamiento, las cláusulas informativas, las cláusulas contractuales para encargados del tratamiento y las medidas de seguridad a adoptar.
Además, para la adaptación y cumplimiento del RGPD, la AEPD dispone de materiales, recursos y herramientas en su página web que tienen por objetivo facilitar la adaptación y cumplimiento del RGPD.
Entre estos materiales, destaca la denominada “Hoja de ruta” dirigida al sector privado así como la publicación de diferentes guías sobre el RGPD.
Por último, para aquellas dudas y consultas sobre la aplicación del RGPD, la AEPD cuenta con el canal INFORMA_RGPD para resolverlas.
Puede consultar la siguiente información:
- Herramienta FACILITA_RGPD
- FACILITA_RGPD ¿Cómo funciona y para qué sirve?
¿Qué es la Ley de Protección de Datos? ¿Y el nuevo Reglamento de Protección de Datos a nivel europeo? No te preocupes porque voy a explicarte cómo funciona, ¿es realmente obligatorio aplicar la implantación RGPD a tu negocio?
Recuerda: ya no es válido el consentimiento tácito, es decir basado en inacción u omisión.
Sólo si realizas tratamientos de bajo riesgo: utiliza FACILITA Si los tratamientos que realizas son de bajo riesgo, es decir no son tratamientos masivos ni con datos especialmente protegidos, podrás utilizar la herramienta Facilita de la AEPD.
También podrás seguir el documento Adecuación de pymes y profesionales al RGPD en ocho pasos de la AVPD.